نبذة عن جهات اعتماد الشهادات (CA) الوسيطة من eMudhra

تحظر أجهزة Apple تلقائيًا الشهادات المخترقة على سفاري والبريد والتطبيقات التي تستخدم أطر عمل Apple. لإيقاف أدوات سطر الأوامر على Mac من قبولها، قم بالتحديث إلى أحدث إصدار من macOS.

تحظر أجهزة Apple تلقائيًا الشهادات المخترقة التابعة لجهات الاعتماد (CA) الوسيطة eMudhra التي تصدر شهادات TLS. يعمل هذا الحظر على سفاري والبريد والتطبيقات التي تستخدم أطر عمل الشبكات والأمان من Apple.

تتطلب بعض أدوات سطر الأوامر المضمنة في macOS أو أدوات سطر الأوامر Xcode (مثل curl وgit) خطوة إضافية لإيقاف قبول هذه الشهادات:

• التحديث إلى أحدث إصدار من macOS: يحتوي أحدث إصدار من macOS على أقوى وسائل الحماية والأمان. بدءًا من macOS 27.2.1، تتوقف أدوات سطر الأوامر هذه عن قبول هذه الشهادات. بالنسبة لأجهزة كمبيوتر Mac التي تعمل بنظام macOS 26 أو macOS 15، فإن macOS 26.7.3 وmacOS 15.8.3 يتضمنان أيضًا هذا الحماية.

• إذا لم تتمكن من تحديث Mac: إذا كنت تستخدم أدوات سطر الأوامر هذه ولكن لا يمكنك تحديث Mac إلى macOS 27.2.1 أو 26.7.3 أو 15.8.3، فيمكنك إزالة شهادات جهات الاعتماد الجذرية من /etc/ssl/cert.pem.

تحديث macOS

ماذا حدث

تم اختراق المفاتيح الخاصة بثماني جهات اعتماد شهادات (CA) وسيطة تديرها eMudhra. تصدر اثنتان من جهات اعتماد الشهادات (CA) هذه شهادات للتوقيع على التعليمات البرمجية، والتي لا تثق فيها أطر عمل Apple. تصدر المؤسسات الستة الأخرى شهادات TLS. يمكن لأي شخص لديه مفاتيح من جهات اعتماد الشهادات (CA) الستة هذه إنشاء شهادات تبدو صالحة لأي موقع ويب. وقد ألغت كل من eMudhra وSectigo الشهادات المتأثرة.

لكل جهة من جهات اعتماد (CA) شهادات TLS الوسيطة الستة شهادتان، ليصبح المجموع 12 شهادة:

• شهادة صادرة عن emSign Root TLS CA - G3، والتي ترتبط بـ emSign ECC Root CA - G3

• شهادة موقع عليها بشكل متبادل من Sectigo، والتي ترتبط بـ AAA Certificate Services

عرض قائمة بهذه الشهادات الاثنتي عشرة

ما فعلته Apple

تحظر Apple هذه الشهادات الـ 12 وemSign ECC Root CA - G3 في سفاري والبريد والتطبيقات التي تستخدم أطر الشبكات والأمان من Apple. يتم إرسال تحديثات بيانات تهيئة الشهادات إلى الأجهزة تلقائيًا وحسب الحاجة، لذلك لا تحتاج إلى تثبيت تحديث برنامج للحصول على هذا الحظر.

بدءًا من macOS 27.2.1، يحظر macOS أيضًا هذه الشهادات الـ 12 في أدوات سطر الأوامر المضمنة في macOS أو أدوات سطر أوامر Xcode. كما تزيل شهادتي جهات الاعتماد الجذرية اللتين تتصل بهما سلسلة الشهادات المكونة من 12 شهادة من /etc/ssl/cert.pem، إلى جانب ثلاث شهادات أخرى من جهة الاعتماد الجذرية eMudhra. يتضمن macOS 26.7.3 وmacOS 15.8.3 هذا الحماية أيضًا.

عرض شهادات جهات الاعتماد الجذرية التي تمت إزالتها من /etc/ssl/cert.pem

إذا لم تتمكن من تحديث Mac

في Mac، تتحقق بعض أدوات سطر الأوامر المضمنة في macOS أو أدوات سطر أوامر Xcode (بما في ذلك curl وgit وpython3 وruby وperl وopenssl) من الشهادات مقابل ‎/etc/ssl/cert.pem. بالنسبة للشهادات التي ترتبط بجهة اعتماد الشهادات (CA) الجذرية في هذا الملف، لا تتحقق هذه الأدوات من حظر شركة Apple أو ما إذا كانت الشهادة قد تم إلغاؤها.

إذا كنت تستخدم هذه الأدوات ولكن لا يمكنك تحديث جهاز Mac الخاص بك إلى macOS 27.2.1 أو macOS 26.7.3 أو macOS 15.8.3، فيمكنك إزالة شهادات جهات الاعتماد الجذرية من الملف.

• تؤثر هذه الخطوات على كل أداة تستخدم ‎/etc/ssl/cert.pem. بعد ذلك، قد لا تتمكن الأدوات التي تستخدم هذا الملف فقط من التحقق من بعض مواقع الويب التي ترتبط شهاداتها بشهادات جهة الاعتماد (CA) الجذرية هذه من خلال جهات الاعتماد (CA) الوسيطة غير المتأثرة.

• تحتاج إلى حساب مسؤول، أو يمكنك نشر الأوامر باستخدام حل إدارة الأجهزة المستخدم لديك. انسخ كل أمر كما هو مكتوب بالضبط. تعرّف على ما يجب فعله إذا تلقيت تنبيهًا بشأن البرامج الضارة المحتملة عند لصق الأمر في "الوحدة الطرفية".

لإزالة شهادات جهة اعتماد الشهادات (CA) الجذرية من ‎/etc/ssl/cert.pem:

1. قم بعمل نسخة احتياطية من الملف. إذا كانت هناك نسخة احتياطية موجودة بالفعل، فإن هذا الأمر يحتفظ بها:

   • [ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig

2. قم بإزالة emSign ECC Root CA - G3. يُنشئ هذا الأمر نسخة من الملف دون emSign ECC Root CA - G3، ويتحقق من أن النسخة ليست فارغة، ويستبدل الملف الأصلي. وهو لا يُظهر أي شيء عند نجاحه:

   • t=$(mktemp) && awk -v s='=== /C=IN/OU=emSign PKI/O=eMudhra Technologies Limited/CN=emSign ECC Root CA - G3' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

3. اختياري: لا تؤدي إزالة emSign ECC Root CA - G3 إلى إيقاف هذه الأدوات عن قبول الشهادات الست الموقعة من Sectigo، لأن هذه الأدوات لا تزال قادرة على التحقق منها من خلال خدمات شهادة AAA. لمنع هذه الأدوات من قبول تلك الشهادات الستة من خلال الملف، يمكنك أيضًا إزالة خدمات شهادة AAA. يعمل هذا الأمر بالطريقة نفسها التي يعمل بها الأمر في الخطوة 2:

   • t=$(mktemp) && awk -v s='=== /C=GB/ST=Greater Manchester/L=Salford/O=Comodo CA Limited/CN=AAA Certificate Services' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

4. تحقق من النتيجة. يسرد هذا الأمر شهادة جهة اعتماد الشهادات (CA) الجذرية إذا كانت لا تزال موجودة في الملف. إذا قمت بإزالة كلتا الشهادتين، فلن يُظهر الأمر أي شيء. إذا أظهر الأمر خطأً، فقم باستعادة النسخة الاحتياطية من الخطوة 1.

   • openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

بعد كل تحديث للبرنامج، قم بتشغيل الأمر الموضح في الخطوة 4. وإذا قام الأمر بسرد شهادة جهة اعتماد جذرية قمت بإزالتها، فكرر هذه الخطوات.

بعد التحديث إلى macOS 27.2.1 أو macOS 26.7.3 أو macOS 15.8.3، لن تحتاج إلى تكرار هذه الخطوات. احذف نسختك الاحتياطية باستخدام sudo rm /etc/ssl/cert.pem.orig، ولا تستعيد نسخة احتياطية قمت بإنشائها قبل التحديث.

الشهادات المحظورة

تمت إزالة شهادات جهات الاعتماد الجذرية من /etc/ssl/cert.pem

يزيل macOS 27.2.1 وmacOS 26.7.3 وmacOS 15.8.3 شهادات جهات الاعتماد الجذرية هذه من ‎/etc/ssl/cert.pem. قد لا تتمكن الأدوات التي تستخدم هذا الملف فقط من التحقق من بعض مواقع الويب التي تتصل بشهادات جهات الاعتماد الجذرية هذه.